교육 목적으로 구성한 가상 사례입니다. 실제 의뢰인의 사건이나 상담 내용을 옮긴 것이 아니며, 등장하는 인물·회사·지역·수치는 모두 가상입니다. 특정 인물이나 사건과 유사해 보여도 무관하며, 예측 수치는 정확하지 않을 수 있습니다.
스마트폰에 악성 앱을 설치당한 뒤 계좌에서 300만 원이 인출된 사례. 보이스피싱 피해 구제 절차와 증거 확보 방법을 변호사 시각에서 분석했습니다.
사연지난달 22일에 문자 한 통을 받았어요. 택배 배송 조회 링크라고 해서 별생각 없이 눌렀는데, 그때부터 일이 꼬였습니다. 링크를 누르고 나서 뭔가 설치가 되는 것 같았는데 그냥 넘겼어요. 그 다음 날 은행 앱에서 알림이 와서 봤더니 제 계좌에서 세 번에 걸쳐 총 300만 원이 빠져나가 있었습니다. 한 번에 100만 원씩 나갔는데, 제가 잠들어 있던 새벽 두 시에서 세 시 사이였어요. 저는 그 시간에 아무것도 하지 않았는데 거래 내역에는 제 명의로 이체가 된 거예요. 너무 무서워서 바로 은행에 전화했고, 은행에서는 일단 계좌를 지급정지해 줬어요. 그런데 이미 돈은 다 빠져나간 상태였고, 이체된 계좌는 이미 다시 어딘가로 돈이 옮겨진 것 같다고 하더라고요. 경찰서에 신고하러 갔더니 사이버수사대에 접수하라고 안내를 받았는데, 어디서 뭘 어떻게 해야 하는지 너무 막막합니다. 악성 앱이 설치됐다는 건 알겠는데, 그게 보이스피싱으로 분류가 되는 건지도 모르겠어요. 피해 구제를 신청하면 300만 원을 돌려받을 수 있는 건지, 아니면 은행이 책임을 지는 건지 정말 아무것도 모르겠어요. 지금 당장 어떻게 해야 하는지 누가 알려주시면 좋겠습니다.
악성 앱 설치가 법적으로 보이스피싱에 해당하는지
이 사연에서 법적으로 가장 먼저 확인해야 할 것은 이 피해가 통신사기피해환급법의 적용 대상인지 여부입니다. 통신사기피해환급법은 전기통신을 이용한 사기로 발생한 피해를 구제하기 위해 만들어진 법인데, 여기서 말하는 '전기통신을 이용한 사기'는 전화뿐 아니라 문자, 인터넷 링크를 통한 악성 앱 설치까지 포괄하는 것으로 운용되고 있어요. 이 사안처럼 스미싱 문자 링크를 통해 악성 앱이 설치되고, 그 앱이 계좌 정보나 인증 정보를 탈취해 무단 이체가 이뤄진 경우는 실무에서 통신사기 피해로 접수되는 전형적인 유형입니다. 다만 피해자가 직접 돈을 송금한 것이 아니라 앱을 통해 자동으로 이체된 경우, 피해자가 직접 이체를 '지시'한 것인지 아닌지가 구제 범위와 관련해 따져봐야 할 지점이에요. 형사상으로는 이 사건에서 악성 앱을 유포한 사람은 정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반(악성 프로그램 유포), 전자금융거래법 위반, 사기죄 등이 경합해서 적용될 수 있습니다. 피해자 입장에서는 형사 처벌보다 돈을 돌려받는 민사·행정적 구제가 더 절박하겠지만, 형사 신고가 구제 절차의 출발점이 된다는 점에서 두 가지는 연결되어 있어요.
지급정지 신청 이후 환급 절차가 실제로 작동하는 방식
은행에서 계좌 지급정지를 해줬다는 건 일단 중요한 첫 단계를 밟은 거예요. 통신사기피해환급법 제3조에 따르면 피해자는 금융회사에 피해 계좌에 대한 지급정지를 신청할 수 있고, 금융회사는 이를 즉시 이행할 의무가 있습니다. 지급정지된 계좌에 잔액이 남아 있다면 피해환급금으로 돌려받을 가능성이 생겨요. 문제는 이미 돈이 다시 다른 계좌로 빠져나간 상황이라는 점입니다. 이렇게 되면 지급정지된 계좌에 환급 재원이 없기 때문에 법에서 정한 환급 절차만으로는 회수가 어려울 수 있어요. 이 경우에는 피해자가 이체된 계좌의 명의인을 상대로 민사상 부당이득반환청구를 검토해야 하는데, 명의인이 단순 대포통장 피해자인지 공범인지에 따라 결과가 달라집니다. 또한 은행이 비정상적인 이체 패턴을 사전에 감지할 수 있었는지, 이상 거래 탐지 시스템이 제대로 작동했는지도 따져볼 수 있어요. 새벽에 짧은 시간 안에 같은 금액이 세 번 반복 이체된 패턴은 이상 거래 탐지 대상이 될 수 있고, 이 부분에서 은행의 책임을 물을 수 있는지는 전자금융거래법 제9조에 근거해 검토해 볼 여지가 있습니다.
피해 구제에서 결과를 가르는 사실관계들
실무에서 이런 사건의 구제 결과를 나누는 핵심은 몇 가지 사실관계에 달려 있어요. 첫째, 피해자가 악성 앱 설치 과정에서 인증번호나 금융 정보를 직접 입력했는지입니다. 단순히 링크를 눌렀을 뿐인데 앱이 자동 설치되고 정보가 탈취된 경우와, 피해자가 스스로 공인인증서 비밀번호나 OTP를 입력한 경우는 법적 평가가 달라질 수 있어요. 전자라면 피해자 과실이 상대적으로 작게 평가되고, 후자라면 피해자가 사기범의 지시에 따랐다는 사실이 구제 범위에 영향을 줄 수 있습니다. 둘째, 지급정지 신청 시점이 중요합니다. 이체 발생 후 빠르게 신청할수록 잔액이 남아 있을 가능성이 높아요. 이 사안에서는 다음 날 알림을 보고 바로 신청했으니 그나마 나은 편이지만, 이미 자금이 이동한 상황이라면 한계가 있어요. 셋째, 악성 앱이 설치된 기기에 대한 디지털 포렌식 자료가 확보되느냐가 형사 수사와 민사 소송 모두에서 중요한 역할을 합니다. 기기를 초기화하거나 앱을 삭제하기 전에 수사기관이나 전문 기관에 분석을 의뢰하는 게 유리합니다. 지금 당장 해야 할 것은 스마트폰을 초기화하지 않은 채 보관하고, 문자 링크 수신 내역과 이체 내역 캡처본을 따로 저장해 두는 것이에요. 경찰 사이버수사대 접수와 함께 금융감독원 보이스피싱 피해 신고 시스템에도 동시에 접수하면 구제 절차가 병행될 수 있습니다.
지금 이 순간 챙겨야 할 것들
피해가 발생한 직후의 행동이 나중에 구제 가능성을 상당히 좌우해요. 스마트폰은 절대 초기화하지 말고, 악성 앱이 설치된 흔적과 이체 직전 앱 구동 로그가 남아 있을 수 있으니 기기 자체를 증거로 보관해야 합니다. 은행에서 발급해 주는 거래 내역 확인서와 지급정지 신청 접수 번호도 반드시 챙겨두세요. 경찰 사이버수사대에 신고할 때는 문자 수신 일시, 링크 클릭 경위, 이체 발생 시각, 이체된 계좌 정보를 정리해서 가져가면 수사 속도가 달라집니다. 통신사에도 해당 문자 발신 번호에 대한 자료 보전을 요청하는 것이 좋아요. 피해 계좌가 특정 금융회사에 있다면, 그 회사의 이상 거래 탐지 이력을 금융감독원을 통해 열람 요청하는 방법도 있습니다. 전자금융거래법 제9조는 접근매체의 위조나 변조, 또는 사고로 인한 손해에 대해 금융회사가 책임을 지도록 하고 있는데, 예외 사유로 '이용자의 고의나 중대한 과실'이 있어요. 악성 앱 설치 경위가 단순 링크 클릭이었다면 중대한 과실로 보기 어렵다는 판단이 나온 사례들이 있는 것으로 알려져 있어서, 이 부분은 은행과의 교섭에서 주요 논거가 될 수 있습니다.
참고 법령·자료
이 자료는 일반적인 정보 제공과 자가 점검을 위한 것으로 개별 사건의 법률 자문이 아닙니다. 구체적인 사실관계와 증거에 따라 판단이 달라지므로 필요한 경우 변호사에게 확인하세요.